Eine Tagging-Richtlinie-Vorlage füllt der Cloud-Verantwortliche zusammen mit Finance aus, bevor das zweite Konto entsteht oder sobald die Zuordnung an fehlenden Tags scheitert; sie hält fest, welche Schlüssel Pflicht sind, welche Werte erlaubt sind, wer sie pflegt und was mit einer Ressource ohne Tag geschieht. Warum Tags die Zuordnung tragen und wo sie an ihre Grenzen stoßen, erklärt die Seite Tagging-Richtlinie; diese Seite ist das Dokument selbst, zum Kopieren und Ausfüllen. Die Entscheidung, die es festhält, ist die Werteliste: ab dem Stichtag gilt eine Ressource ohne gültigen Wert als nicht zugeordnet.
Die Vorlage
Tagging-Richtlinie <Organisation>, Version <1.0>, gültig ab <Datum>, Eigentümer <Rolle>
1. Geltungsbereich. Diese Richtlinie gilt für alle Ressourcen in <AWS, Azure, Google Cloud>, die eine Rechnungsposition erzeugen, und für die Konten, Subscriptions und Projekte selbst. Sie gilt für neu angelegte Ressourcen ab <Datum> und für den Bestand ab <Datum der Nachpflege>.
2. Pflichtschlüssel. Jede Ressource trägt diese Schlüssel mit einem Wert aus der genannten Quelle.
| Schlüssel | Erlaubte Werte | Beispiel | Quelle der Werteliste | Pflegt |
|---|---|---|---|---|
cost-center | Kostenstellen aus <ERP-System> | <4711> | <Finance, Export vom Datum> | <Finance> |
owner | Teamname aus <Verzeichnis> | <platform> | <Verzeichnis> | <Plattform-Team> |
environment | prod, staging, dev, test | prod | diese Richtlinie | <Plattform-Team> |
application | Anwendung aus <Service-Katalog> | <checkout> | <Service-Katalog> | <Architektur> |
<weiterer Schlüssel> | <Werte> | <Beispiel> | <Quelle> | <Rolle> |
3. Optionale Schlüssel. Erlaubt, mit festgelegten Werten; ein optionaler Schlüssel ohne gültigen Wert wird wie ein fehlender behandelt.
| Schlüssel | Erlaubte Werte | Zweck |
|---|---|---|
project | Projektkennung aus <Projektliste> | zeitlich begrenzte Kosten getrennt ausweisen |
schedule | office-hours, always-on | Grundlage für Abschaltzeitpläne |
expires-on | Datum JJJJ-MM-TT | Löschfrist für befristete Ressourcen |
data-classification | public, internal, confidential | Anforderungen an Speicher und Region |
4. Schreibweise. Schlüssel und Werte in Kleinbuchstaben, Wörter mit Bindestrich getrennt, keine Leerzeichen, keine Umlaute, höchstens <63> Zeichen. Dieselbe Schreibweise gilt auf allen Providern; wo ein Provider Groß- und Kleinschreibung unterscheidet, zählt nur die hier festgelegte Form.
5. Durchsetzung.
| Provider | Mechanismus | Wirkung | Zuständig |
|---|---|---|---|
| AWS | Tag Policy in AWS Organizations für die Schlüssel in Abschnitt 2, enforced_for auf <Services>; Config-Regel required-tags | Falsche Werte werden abgelehnt, fehlende Schlüssel gemeldet | <Plattform-Team> |
| Azure | Azure Policy: Tag auf Ressourcen erzwingen (deny) für <Schlüssel>, Tag aus der Ressourcengruppe vererben (modify) | Anlage ohne Tag wird abgelehnt, Gruppenwerte vererbt | <Plattform-Team> |
| Google Cloud | Label-Pflicht in der <Terraform-Pipeline>; benutzerdefinierte Constraints der Organisationsrichtlinie für <Compute Engine> | Pipeline lehnt ab, Constraint lehnt ab | <Plattform-Team> |
6. Ausnahmen. Eine Ressource, die einen Pflichtschlüssel nicht tragen kann oder soll, steht mit Grund und Frist in dieser Liste; alles andere ist ein Verstoß.
| Ressource oder Dienst | Grund | Genehmigt von | Gültig bis |
|---|---|---|---|
<Dienst ohne Tag-Unterstützung> | <Provider unterstützt keine Tags> | <Rolle> | <Datum> |
<Ressource> | <Grund> | <Rolle> | <Datum> |
7. Ressourcen ohne Tag. Eine Ressource ohne gültigen Pflichtschlüssel wird <7> Tage nach Anlage an den Eigentümer des Kontos gemeldet, nach <30> Tagen dessen Kostenstelle zugerechnet und im monatlichen Review aufgeführt. Kosten, die keinem Konto-Eigentümer zuzuordnen sind, laufen auf <Sammel-Kostenstelle>.
8. Änderungen und Review. Die Werteliste ändert <Rolle> über <Prozess, etwa Pull Request auf das Richtlinien-Repository>; die Richtlinie wird <quartalsweise> von <Rolle> geprüft. Die Abdeckung je Pflichtschlüssel wird monatlich berichtet, Ziel <95> Prozent der Kosten.
| Version | Datum | Änderung | Freigegeben von |
|---|---|---|---|
<1.0> | <Datum> | Erstfassung | <Finance und Plattform-Team> |
So füllen Sie sie aus
Geltungsbereich: Nennen Sie die Provider wirklich einzeln, weil die Durchsetzung je Provider anders heißt, und setzen Sie für den Bestand ein zweites Datum; AWS füllt Kostenzuordnungs-Tags rückwirkend für bis zu zwölf Monate nach, die anderen nicht.
Pflichtschlüssel: Vier reichen für Showback und Chargeback, ein fünfter nur, wenn ein Bericht ihn braucht. Die Werteliste kommt aus einem System, das schon jemand pflegt, nie aus der Richtlinie selbst; cost-center aus dem ERP, owner aus dem Verzeichnis. Wer die Kosten später verrechnet, steht in der Chargeback-Richtlinie.
Schreibweise: Google-Cloud-Labels erlauben nur Kleinbuchstaben, Ziffern, Unterstrich und Bindestrich, deshalb gilt diese Form auf allen drei Providern; die Unterschiede der Provider stehen in Tags und Labels.
Durchsetzung: Tragen Sie ein, was heute läuft, nicht was geplant ist; die Werkzeuge und ihre Grenzen beschreibt Tagging-Durchsetzung und Policy as Code. Eine Richtlinie mit deny beginnt in einem Test-Konto.
Ausnahmen: Jede Zeile hat eine Frist; eine Ausnahme ohne Datum ist ein zweiter Standard. Ressourcen ohne Tag: Die Frist in Tagen und die Sammel-Kostenstelle sind die Zahlen, die Finance festlegt; wie Sie die nicht zugeordneten Kosten messen, steht in Tag-Abdeckung und Kosten ohne Tag.
Review: Die Rolle in Abschnitt 8 ist dieselbe, die im RACI für Kostenverantwortung rechenschaftspflichtig für die Zuordnung ist.
So passen Sie sie an
Ein Team: owner entfällt, environment und application bleiben, weil der nächste Bericht nach Umgebung fragt; die Durchsetzung ist eine Prüfung in der Pipeline, keine Organisationsrichtlinie. Mehrere Teams: owner wird Pflicht, und die Vererbung von der Ressourcengruppe oder dem Konto ersetzt das Tagging einzelner Ressourcen, wo der Provider sie bietet.
Ein Provider: Abschnitt 5 schrumpft auf eine Zeile, Abschnitt 4 übernimmt dessen Regeln. Drei Provider: Die Schreibweise folgt dem strengsten, und die Werteliste wird an einer Stelle gepflegt und auf alle drei verteilt.
Startup: Zwei Pflichtschlüssel, environment und owner, mit cost-center erst, wenn Finance Kostenstellen führt; die Frist in Abschnitt 7 ist kurz, weil der Bestand klein ist. Finance-geführt: cost-center ist der erste Schlüssel, seine Werteliste wird aus dem ERP exportiert und monatlich abgeglichen, und die Abdeckung je Kostenstelle gehört in den Showback-Bericht (Vorlage).
Quellen
Gelesen am 2026-10-21. FinOps Foundation, Allocation (CC BY 4.0), Tagging-Schema definieren und veröffentlichen, Tag Policies in AWS Organizations, Config-Regel required-tags, Kostenzuordnungs-Tags nachfüllen, Azure-Tagging-Strategie, Azure-Policy-Definitionen für Tags, Tag-Vererbung in Cost Management, Best Practices für Labels, benutzerdefinierte Constraints für Compute Engine.